Дефинишите објекат VPN пре него што изаберете SNMP или API

Пред транспортом стоје три одлуке: који објекат упозорење описује, који смер и обухват покрива и колико свеже треба да буде читање. SNMP, HTTPS API и сонда апликације могу сви да пријаве нешто о VPN-у и неће пријавити исто. Замена протокола без решавања тих три мења само место где се скупља забуна. Објекат и значење упозорења су дизајн; протокол је достава.

Табла која четири различита посматрања претвара у једну зелену икону већ је лоше донела ту одлуку.

Шта упозорење треба заправо да значи?

Оно може да значи да партнер не може да се аутентификује, да не постоји заштићено стање података, да рута показује на погрешно место или да апликација не може да заврши свој посао. Свако од тога има свог власника, своју прву проверу и своју стопу лажних позитивних. Партнер који не може да се аутентификује је проблем идентитета, асоцијација безбедности која недостаје је проблем стања протокола, рута је проблем конфигурације, а отказ апликације можда није ниједно од тога. Одлучите за које је упозорење пре него што изаберете сакупљач.

Напишите га као реченицу по којој дежурни инжењер може да поступи. Ако реченици требају два објекта, то су два упозорења, а не једно које је пола тачно.

TCP табела описује TCP

RFC 4022 специфицира tcpConnectionTable, чији редови описују успостављене TCP везе, са кључем по типу адресе, адреси и порту на оба краја. Редови нестају када се веза затвори, а сокети који слушају појављују се у другој табели. Покретање VPN-а на истој машини не претвара TCP табелу у попис IPsec безбедносних асоцијација. Она може да опише сесију управљања, ток апликације или тунел пренет преко TCP-а, а сам ред вам неће рећи који.

Бројачи интерфејса носе исту двосмисленост на грубљем нивоу: бајтови на интерфејсу обједињују сваког партнера и сваки ток који га користи.

Изградите мали уговор о посматрању

За сваку метрику запишите подржани објекат или поље API-ја, уређај и верзију софтвера који га поседују, идентификатор партнера или услуге, смер, време сакупљања и очекивано понашање освежавања. Затим користите документовани приказ асоцијација или сесија пролаза за стање протокола, табелу рутирања за стање путање и уско дозвољен захтев за стање апликације. Радна крајња тачка управљања доказује да крајња тачка управљања ради и ништа о апликацији иза ње.

Ако инсталирани агент нема потребне објекте, изаберите други експлицитно подржан интерфејс само за читање. Измишљање OID-а, читање општег TCP броја као броја тунела или очекивање да стари API добављача преживи непромењен у сестринском производу су сви ћорсокаци.

Застарели подаци нису отказ тунела

Временско ограничење сакупљања, истекла акредитација или измењена API путања производе телеметрију која недостаје. То је отказ надзора и другачији инцидент од тунела који је пао. Запишите које посматрање је застарело и када, да би оператер добио смислену прву проверу уместо ресетовања тунела. Третирање сваког временског ограничења као прекида VPN-а учи људе да игноришу обоје.

Држите уске и дозволе за сакупљање. Интерфејс који може да мења конфигурацију или брише сесије носи границу привилегија коју задатак надзора не би требало да наследи, а налог само за читање је обично довољан.

Користан дизајн именује објекат, значење и захтев за свежину. Избор протокола следи из њих, а не обрнуто.